Цього тижня випуск ThreatsDay Bulletin охоплює широкий спектр загроз: від крадіжки криптовалюти на 6,43 млрд доларів і Volt Typhoon до вразливостей ChatGPT, бекдорів у ШІ-розширеннях, шпигунського ПЗ, ботнету DDoS для Linux і критичних CVE. У цьому щотижневому огляді онлайн-безпеки ми зосереджуємося на тих пунктах, щодо яких звичайні читачі можуть діяти негайно: шпигунське ПЗ для Android і фішинг із кодом пристрою.

Вихідний бюлетень — це огляд на рівні заголовків, тому ми дотримуємося того, що в ньому названо, і не намагаємося вгадувати деталі, яких він не наводить. Там, де бракує конкретики, ми вказуємо на загальні, добре усталені захисні звички.

Шпигунське ПЗ для Android і до чого воно може отримати доступ

Шпигунське ПЗ — це зловмисне програмне забезпечення, яке таємно відстежує активність пристрою. Згідно з нашим визначенням шпигунського ПЗ у глосарії, воно може збирати конфіденційні дані, як-от паролі, історію перегляду та особисту інформацію, без вашого відома чи згоди.

На телефоні це важливо, тому що пристрій містить надто багато в одному місці: повідомлення, фотографії, контакти, електронну пошту та застосунки автентифікації або коди, що захищають ваші інші облікові записи. Шпигунське ПЗ, яке отримує широкі дозволи, потенційно може дістатися до багатьох із цих речей одночасно.

Ми вже розповідали, як це відбувається на практиці. Один із недавніх прикладів — Mantax Otax, різновид зловмисного ПЗ для Android, який стирає межу між програмами-вимагачами та шпигунським ПЗ і загрожує одноразовим паролям — запобіжному засобу, на який покладається багато людей. Урок такий: зловмисному ПЗ не потрібно виглядати драматично, щоб бути шкідливим. Тихого читання кодів або повідомлень може бути достатньо, щоб дозволити зловмиснику потрапити до ваших облікових записів.

Фішинг із кодом пристрою: чому неочікувані запити на вхід — це тривожний сигнал

Фішинг із кодом пристрою — ще один пункт у бюлетені цього тижня. Загальна ідея такого типу атаки полягає в тому, що людину обманюють, змушуючи ввести код або підтвердити вхід на легітимній сторінці входу, що може надати зловмиснику доступ до облікового запису. Оскільки сама сторінка може бути справжньою, звичайна порада перевіряти веб-адресу не завжди достатня.

Практичне правило просте: якщо ви не ініціювали вхід, не завершуйте його. Неочікуваний код, запит або запит на підтвердження — це сигнал зупинитися й перевірити. Будьте особливо обережні, коли хтось зв’язується з вами й просить ввести код на пристрої чи вебсайті, навіть якщо повідомлення виглядає офіційним або терміновим.

Кроки для захисту ваших облікових записів і пристроїв цього тижня

Жоден із цих кроків не потребує технічної експертизи. Разом вони зменшують ймовірність того, що шпигунське ПЗ або фішинг досягнуть успіху.

  • Перевірте дозволи застосунків. Відкрийте налаштування телефона й перегляньте, які застосунки мають доступ до SMS, контактів, мікрофона, камери, геолокації та функцій доступності. Видаліть або обмежте все, що явно цього не потребує.
  • Видаліть застосунки, якими не користуєтеся. Кожен встановлений застосунок — це потенційна поверхня атаки. Видаліть усе незнайоме або непотрібне.
  • Відмовляйтеся від неочікуваних кодів входу. Ніколи не діліться одноразовим кодом і не підтверджуйте вхід, який ви не ініціювали. Легітимні сервіси не просять вас зачитувати їм коди.
  • Своєчасно встановлюйте оновлення. Бюлетень містить критичні CVE, а патчі — основний захист від відомих вразливостей. Оновлюйте операційну систему, браузер і застосунки.
  • Дотримуйтеся офіційних магазинів застосунків і будьте обережні із застосунками, які запитують широкі дозволи для простих функцій.
  • Використовуйте надійні унікальні паролі та багатофакторну автентифікацію, де вона доступна, пам’ятаючи, що коди допомагають лише тоді, коли ви їх охороняєте.

Ширша картина: крадіжка криптовалюти, Volt Typhoon і критичні CVE

Бюлетень також указує на більші історії. Крадіжка криптовалюти на 6,43 млрд доларів показує, наскільки велику цінність можуть атакувати зловмисники, тоді як Volt Typhoon нагадує, що тривалі кампанії з добрим ресурсним забезпеченням залишаються частиною картини. Згадка про вразливості ChatGPT і бекдори в ШІ-розширеннях свідчить про те, що новіші інструменти й браузерні додатки заслуговують такого самого ретельного вивчення, як і будь-яке інше програмне забезпечення, яке ви встановлюєте.

Для окремих людей спільна нитка полягає в тому, що зловмисники атакують найслабшу ланку — чи то неоновлена система, застосунок із надмірними дозволами або людина, яку поспіхом змушують підтвердити вхід. Пов’язані матеріали — корисне нагадування, що інструменти спостереження можуть набувати багатьох форм: від сталкерського ПЗ, яке викрило 86 000 файлів про європейських інфлюенсерів до шпигунського ПЗ із нульовим кліком у рекламі, з яким журналісти зіткнулися у 2024 році.

Що це означає для вас

Вам не потрібно відстежувати кожен заголовок, щоб бути в більшій безпеці. Більшість ризиків цього тижня зводяться до двох звичок: обмежувати те, до чого можуть отримати доступ застосунки й розширення, і зупинятися перед підтвердженням будь-якого входу, який ви не розпочинали. Підтримання пристроїв в оновленому стані закриває багато відомих недоліків, що особливо актуально з огляду на критичні CVE у бюлетені. Якщо ви користуєтеся ШІ-розширеннями для браузера, переглядайте їх так само ретельно, як і будь-який інший додаток.

Ключові висновки

Цей щотижневий огляд онлайн-безпеки зводиться до короткого контрольного списку: перегляньте встановлені застосунки й дозволи, видаліть те, що вам не потрібно, ніколи не підтверджуйте неочікувані коди входу та оновіть свої пристрої сьогодні. Для довідки прочитайте наше визначення шпигунського ПЗ у глосарії, а для реального прикладу зловмисного ПЗ для Android, націленого на OTP, дивіться статтю про Mantax Otax. Кілька хвилин перевірки зараз можуть запобігти значно більшій проблемі згодом.